احراز هویت دومرحله‌ای (2FA) چیست و کدام روش بهتر است؟

احراز هویت دومرحله‌ای (Two-Factor Authentication یا 2FA) یعنی برای ورود، علاوه بر چیزی که می‌دانید (رمز)، به چیزی که دارید (مثل گوشی) هم نیاز است. نتیجه: اگر رمزتان لو برود، مهاجم بدون مرحله‌ی دوم وارد نمی‌شود.

چرا مهم است؟

رمزها دائماً از طریق نشت اطلاعات، فیشینگ و حدس زدن لو می‌روند (راهنمای رمز قوی). 2FA لایه‌ی دومی است که این خطر را بسیار کم می‌کند.

سه روش رایج

۱. کد پیامکی. کد از طریق SMS می‌آید. استفاده‌اش ساده است و برای همه‌ی گوشی‌ها کار می‌کند. نقطه‌ضعف: پیامک می‌تواند شنود یا با ترفند انتقال سیم‌کارت (SIM swap) منحرف شود و به شبکه و پوشش آنتن هم وابسته است. بهتر از هیچ است، ولی ایده‌آل نیست.

۲. برنامه‌ی تولید کد (Authenticator). برنامه‌ای روی گوشی (مثل Google Authenticator، Microsoft Authenticator یا Aegis) کدهای ۶ رقمی را که هر ۳۰ ثانیه عوض می‌شوند تولید می‌کند. نیاز به اینترنت ندارد و در برابر SIM swap مقاوم است. این گزینه برای بیشتر کاربران بهترین تعادل است.

۳. کلید سخت‌افزاری (مثل کلیدهای FIDO2/USB). قوی‌ترین روش در برابر فیشینگ، چون کلید فقط با سایت واقعی کار می‌کند. هزینه دارد و برای حساب‌های خیلی مهم مناسب است.

از کجا شروع کنیم؟

اولویت حساب‌ها: ۱) ایمیل اصلی (چون بازیابی بقیه‌ی حساب‌ها از آن می‌گذرد)، ۲) حساب‌های مالی و بانکی، ۳) شبکه‌های اجتماعی و حساب‌های کاری، ۴) بقیه.

مراحل فعال‌سازی (کلی)

1. وارد تنظیمات امنیتی حساب شوید.
2. گزینه‌ی «تایید دومرحله‌ای» را پیدا و فعال کنید.
3. روش را انتخاب کنید (ترجیحاً برنامه‌ی تولید کد).
4. کدهای پشتیبان (recovery codes) را ذخیره کنید، جایی غیر از همان گوشی (مثلاً چاپ‌شده یا در مدیر رمز).
5. ورود را یک بار آزمایش کنید.

خطاهای رایج

• ذخیره نکردن کدهای پشتیبان؛ با گم شدن گوشی، دسترسی به حساب از دست می‌رود.
• تایید هر درخواست ورودی که روی گوشی می‌آید؛ اگر درخواستی را نزده‌اید، رد کنید و رمز را عوض کنید.
• وارد کردن کد روی صفحه‌ای که از لینک پیام مشکوک باز شده؛ آدرس سایت را همیشه دستی یا از بوکمارک خودتان باز کنید.

سوالات رایج

اگر گوشی‌ام گم شود چه می‌شود؟ با کدهای پشتیبان یا روش بازیابی ثبت‌شده وارد می‌شوید؛ به همین دلیل ذخیره‌ی کدها حیاتی است.

2FA کامل جلوی هک را می‌گیرد؟ نه کامل، ولی بیشتر حملات رایج را بی‌اثر می‌کند. فیشینگ پیشرفته هنوز می‌تواند کدها را بدزدد؛ کلید سخت‌افزاری در برابر آن مقاوم‌تر است.